Poisoned Source: APT29 greift iPhones und Android-Geräte per Spyware an

Das Cybersicherheitsunternehmen Sekoia hat am 4. November 2026 eine Zero-Click-Spyware-Kampagne unter der Bezeichnung „Poisoned Source“ aufgedeckt. Die Aktivitäten werden mit mittlerer bis hoher Konfidenz der Hackergruppe APT29 zugeschrieben, die auch unter den Namen Cozy Bear oder Midnight Blizzard bekannt ist und mit dem russischen Auslandsnachrichtendienst SVR in Verbindung gebracht wird.

Die Angriffe richten sich gezielt gegen Nutzer von iPhones und Android-Geräten in der Ukraine, den USA und Europa. Die Entdeckung der Kampagne gelang Sekoia bereits Mitte Oktober 2026.

Drei Vektoren zur Verbreitung der Schadsoftware

Die Angreifer nutzten drei verschiedene Infektionswege, um Mobilgeräte zu kompromittieren. Neben kompromittierten legitimen Websites und gefälschten Internetadressen kam ein Angriff auf die Lieferkette des ukrainischen Analysedienstes Plerdy zum Einsatz.

Nach Erkenntnissen der Analysten injizierte APT29 zwischen dem 27. August und dem 3. September 2026 manipulierten JavaScript-Code in das Skript main.js des SEO-Trackers von Plerdy. Da dieser Dienst von Tausenden meist ukrainischen Websites geladen wird, waren darunter auch Portale der Armee, von Spezialkräften und Drohneneinheiten betroffen.

Zusätzlich wurden bestehende Webauftritte manipuliert, darunter die Seiten eines ukrainischen Gasproduzenten, eines US-Chemieverbands, einer bulgarischen Militärorganisation, einer tschechischen Rechtspartei sowie einer australischen Klinik.

Zur Täuschung dienten zudem gefälschte Adressen, die bestehende Angebote nachahmten, darunter america250[.]holiday und theowo[.]club, das das Londoner Raffles-Hotel imitierte. Wie viele Geräte letztlich kompromittiert wurden, ist bislang unbekannt.

Aufwendiges Fingerprinting und zielgerichtete Exploit-Ketten

Für die Identifizierung potenzieller Opfer nutzten die Angreifer ein Werkzeug namens UltimateFingerprinter. Dieses war in einer 2,3 Megabyte großen AngularJS-Datei eingebettet, die zu 98 Prozent aus diesem Code bestand. Das Werkzeug sammelte 394 Datenfelder über 61 Prüfroutinen und sendete diese Informationen an static.flux-telemetry[.]com.

Wer sich vor solch gezielten Angriffen auf das eigene Smartphone schützen möchte, findet in diesem kostenlosen Ratgeber die wichtigsten Grundlagen für mehr Sicherheit. 5 sofort umsetzbare Schutzmaßnahmen entdecken

Passend zu den Systemen kamen drei Exploit-Ketten zum Einsatz:

• Klasse A: Zielte auf Versionen von iOS 16.7 ab und nutzte die Sicherheitslücken CVE-2025-43529 sowie CVE-2024-27834, um Authentifizierungs-Cookies aus dem Browser zu entwenden.
• Klasse B: Griff iOS 18.5 über das Toolkit DarkSword an. Unter Ausnutzung von fünf Schwachstellen (CVE-2025-43529, CVE-2026-20700, CVE-2025-14174, CVE-2025-43510 und CVE-2025-43520) wurden Nachrichten, SMS, Daten aus WhatsApp und Telegram, E-Mails, Passwörter aus dem Schlüsselbund, Fotos, Standortdaten sowie iCloud-Inhalte erbeutet.
• Klasse C: Rief auf Android-Geräten unter Chrome in den Versionen 139 bis 145 (mit Ausnahme von Version 143) die Schwachstellen CVE-2026-3910 und CVE-2025-27038 im Adreno-GPU-Treiber von Qualcomm ab. Die Schadsoftware AndroSnitch stahl Chrome-Cookies, Anmeldedaten, den Browserverlauf und WLAN-Passwörter. Bei einem Modell des Samsung Galaxy S25 Ultra (SM-S938B) stoppte der Angriff.

Die Daten wurden an den Endpunkt ad.starx-net[.]com:8881 über den Pfad /telemetry/v12 übertragen. Bemerkenswert ist, dass sämtliche ausgenutzten Schwachstellen bereits herstellerseitig gepatcht waren. Es kamen keine Zero-Day-Lücken zum Einsatz, und die Angreifer richteten keine dauerhafte Persistenz auf den Geräten ein.

Da viele Cyberattacken auf bekannte Sicherheitslücken setzen, ist das Schließen dieser Einfallstore durch richtige Konfiguration entscheidend. Erfahren Sie in diesem gratis PDF-Ratgeber, wie Sie Ihr Android-Smartphone effektiv gegen Hacker und Datenmissbrauch absichern. Kostenlosen Sicherheits-Ratgeber herunterladen

Behörden reagieren auf Schwachstellenausnutzung

Als Reaktion auf die Ausnutzung nahm die US-Cybersicherheitsbehörde CISA am 4. November 2026 die Schwachstelle CVE-2024-27834 in ihren Katalog bekannter ausgenutzter Schwachstellen auf. Für US-Bundesbehörden gilt eine Frist bis zum 18. November 2026, um die betroffenen Systeme abzusichern.

Sekoia hielt bei der Veröffentlichung einige technische Indikatoren und YARA-Regeln zurück. Um Systeme zu schützen, empfehlen die Sicherheitsexperten das unverzügliche Einspielen verfügbarer Sicherheitsupdates, die Aktivierung von Multifaktor-Authentifizierung sowie die regelmäßige Prüfung aktiver Sitzungen.